Mutmaßlich russische Hacker bieten derzeit gestohlene Daten der Berliner Stadtverwaltung im Darknet an, darunter auch hochsensible Infos zur Wasserversorgung der Metropole. Preis: 30 Bitcoin bzw. 2 Mio. Euro. Was passiert, wenn die Stadt nicht zahlt, weiß keiner.
Die Uhr tickt. In einem versteckten Winkel des Internets, wo normale Suchmaschinen nicht hinkommen, läuft derzeit eine Auktion. Das Diebesgut: Daten einer europäischen Hauptstadt. Preis: 2 Millionen Euro in Bitcoin. Der Countdown: bis Freitag, den 4. September.
Berlin steht im Fadenkreuz von Cyberkriminellen. Wie der Schweizer Online-Medium Watson meldet, bietet die Ransomware-Gruppe Rhysida seit letztem Freitag gestohlene Daten der deutschen Bundeshauptstadt im Darknet zum Kauf an. Darunter sollen sich auch hochsensible Dokumente zur Wasserversorgung der Millionenmetropole befinden.
Wie ernst die Lage offenbar ist, zeigt ein Schreiben des Berliner IT-Staatssekretärs Florian Hauer, das offenbar an alle Angestellten ging und aus dem der Spiegel zitiert. Darin wird vor Droh- und Erpressungsanrufen durch die mutmaßlichen Hacker gewarnt.
Was da in der deutschen Hauptstadt gerader abläuft, wie realistisch die Drohungen seitens der Erpresser sind und wer überhaupt hinter dem Cyber-Angriff steckt – das ist über den Fall bisher bekannt:
Worum geht es hier genau?
Hacker haben die Berliner Stadtverwaltung angegriffen und dabei massenhaft Daten gestohlen. Nach bisherigen Erkenntnissen flossen zwischen dem 7. und 12. August Daten in großem Umfang ab. Der Angriff wurde am 14. August öffentlich bekannt. Lokale Behörden waren teilweise lahmgelegt. Die Angreifer fordern nun mindestens 30 Bitcoin – umgerechnet rund zwei Millionen Euro – für die Rückgabe der gestohlenen Daten.
Was wurde gestohlen?
Die Hacker behaupten, rund 1,44 Millionen Dateien in einem Gesamtumfang von 5,7 Terabyte erbeutet zu haben. Darunter befinden sich auch als Verschlusssache klassifizierte Dokumente und vertrauliche Personendaten. Besonders brisant: Laut dem Darknet-Posting soll den Angreifern auch eine Schwachstellenanalyse zur Berliner Wasserversorgung in die Hände gefallen sein. Diese stammt von KRITIS, der deutschen Behörde für Kritische Infrastrukturen.
Was passiert, wenn niemand zahlt?
Das Ultimatum der Hacker läuft am Freitag ab. Danach ist zu erwarten, dass die Daten weiterverkauft beziehungsweise ganz oder teilweise veröffentlicht werden. Die Berliner Senatssprecherin Christine Richter bestätigte diese Einschätzung gegenüber der Deutschen Presse-Agentur. Der Regierende Bürgermeister Kai Wegner stellte bereits klar: Berlin lasse sich nicht erpressen.
Wer ist die Ransomsoftware-Gruppe Rhysida?
Rhysida ist der Name einer kriminellen Vereinigung, die für diverse Cyberattacken auf Ziele in Europa und den USA verantwortlich gemacht wird. Der Name stammt aus der Biologie und bezeichnet eine Gattung von tropischen Hundertfüßern. Die Gruppe trat erstmals im Juni 2023 in Erscheinung und ist seither für hochprofessionelle Angriffe bekannt.
Steckt Russland dahinter?
IT-Sicherheitsexperten gehen davon aus, dass die Akteure aus Russland oder der Gemeinschaft Unabhängiger Staaten, also dem Zusammenschluss ehemaliger Sowjetrepubliken, stammen. Im Schadcode von Rhysida wurden russische Sprachschnipsel und Kommentare nachgewiesen. Auch Formulierungen in Erpresserschreiben deuten auf russische Muttersprachler hin. Offizielle personelle Verbindungen zum russischen Staat liegen nicht vor, können aber auch nicht ausgeschlossen werden.
Kam diese Erpressergruppe einfach aus dem Nichts?
Nein, es wird davon ausgegangen, dass sie eine Weiterentwicklung der sogenannten Vice Society ist. Sicherheitsforscher stellten signifikante technische Überschneidungen zwischen Rhysida und der früheren Gruppe Vice Society fest. Vice Society war unter anderem für einen verheerenden Cyberangriff auf eine Schweizer Gemeinde verantwortlich. Die Gruppe verschwand im Juni 2023 – fast zeitgleich mit dem ersten Auftreten von Rhysida. Viele Experten halten Rhysida daher für einen Nachfolger von Vice Society.
Was ist das Geschäftsmodell von Rhysida?
Rhysida operiert als Ransomware-as-a-Service. Das bedeutet: Die Hintermänner der Gruppe vermieten ihre Schadsoftware und Infrastruktur an andere Kriminelle. Diese führen dann die eigentlichen Angriffe durch. Das Geschäftsmodell basiert auf doppelter Erpressung: Einerseits werden Systeme lahmgelegt, andererseits wird mit der Veröffentlichung gestohlener Daten gedroht.
Warum werden solche Banden nicht gestoppt?
Für Banden, die aus dem russischen oder asiatischen Raum operieren, sind hochprofessionelle, arbeitsteilige Strukturen typisch. In diesen Ländern werden Cyberkriminelle oft toleriert, solange sie keine Ziele im Inland angreifen. Die internationale Strafverfolgung ist schwierig, weil die Täter in Staaten agieren, die nicht kooperieren.
Wie gefährlich ist der Angriff auf KRITIS-Daten?
KRITIS steht für Kritische Infrastrukturen. Gemeint sind Organisationen, Anlagen und Systeme, die für das Funktionieren von Staat und Gesellschaft unverzichtbar sind – wie etwa die Wasserversorgung. Wenn Hacker Schwachstellenanalysen solcher Systeme besitzen, könnten sie oder Dritte diese Informationen theoretisch für weitere Angriffe nutzen.
Wie reagiert Berlin auf den Angriff?
IT-Staatssekretär Florian Hauer warnte in einem Schreiben alle Staatsangestellten. Die Angreifer hätten einzelne Behördenmitarbeiter telefonisch und via Social Media kontaktiert. Es bestehe ein hohes Risiko für raffinierte Täuschungsversuche – eventuell sogar durch KI-generierte Anrufe. Anfragen von vermeintlichen Bürgern oder Partnerbehörden könnten in Wahrheit von den Tätern stammen.
Könnte so etwas auch in Österreich passieren?
Grundsätzlich ja. Ransomware-Angriffe treffen Behörden und Unternehmen weltweit. Auch österreichische Gemeinden und öffentliche Einrichtungen waren in der Vergangenheit bereits Ziel von Cyberattacken. Der Fall Berlin zeigt, dass selbst große Verwaltungen mit umfangreichen IT-Ressourcen nicht immun gegen derartige Angriffe sind.
Wie geht es jetzt weiter?
Die kommenden Tage werden zeigen, ob die Berliner Behörden standhaft bleiben – und was mit den gestohlenen Daten danach passiert. Für die Cybersicherheit von Kommunen und kritischer Infrastrukturen in ganz Europa ist der Fall aber ein dramatischer Weckruf.
